פישינג הוא ניסיון לגרום לכם למסור פרטים באמצעות התחזות לגוף מוכר, כמעט תמיד בליווי לחץ של זמן. שלושת הסימנים שמזהים כמעט כל מקרה: דחיפות מלאכותית, כתובת שולח שדומה אבל לא זהה לארגון האמיתי, ובקשה למסור סיסמה, פרטי אשראי או קוד אימות. אם אתם מתלבטים — אל תלחצו על הקישור. היכנסו לאתר הרשמי ישירות או התקשרו למספר שאתם מכירים.
- למה דווקא הדחיפות היא הסימן האמין ביותר.
- אילו גופים מתחזים אליהם הכי הרבה בישראל.
- מה לעשות ב-15 הדקות הראשונות אם כבר מסרתם פרטים.
- לאן מדווחים בישראל.
מה זה פישינג?
פישינג (Phishing) היא שיטת הונאה שבה תוקף מתחזה לגוף לגיטימי (בנק, Google, פייסבוק, דואר ישראל) כדי לגרום לכם למסור פרטים אישיים, סיסמאות, או פרטי כרטיס אשראי. מה זה פישינג בעצם? הבסיס הוא הנדסה חברתית – ניצול האמון שלנו בגופים מוכרים. התוקפים יוצרים תחושת דחיפות ופחד כדי לגרום לנו לפעול ללא חשיבה. בישראל, תוקפים שולחים מאות אלפי הודעות כאלה מדי שנה, וחלק ניכר מהן גורמות לנזק כלכלי ולפריצות לחשבונות.
סוגי מתקפות
- אימייל פישינג: מייל מזויף שנראה אמיתי עם קישור לאתר מזויף
- Smishing (SMS): הודעת SMS עם קישור זדוני
- Vishing (Voice): שיחת טלפון מתחזה
- Spear Phishing: מתקפה ממוקדת – ההאקר יודע עליכם פרטים אישיים
- Whaling: מתקפה שמכוונת ספציפית למנהלים בכירים
כל סוג מתקפה מנצל ערוץ תקשורת שונה, אך כולם פועלים לפי אותו עיקרון – להתחזות לגוף מהימן. הכרת הסוגים השונים תעזור לכם לזהות ניסיונות תקיפה בכל ערוץ ובכל מכשיר.
איך מזהים הודעת פישינג?
- כתובת שולח חשודה: support@g00gle.com במקום @google.com
- דחיפות מלאכותית: החשבון שלך יינעל תוך 24 שעות
- קישור שונה מהכתובת המוצגת – רחפו מעל הקישור לפני לחיצה
- שגיאות כתיב בעברית או באנגלית
- בקשה למסור סיסמה, פרטי כרטיס, קוד SMS
- קבצים מצורפים לא צפויים
כאשר אתם מתלבטים האם הודעה חשודה, פנו ישירות לגוף ששלח לכם את ההודעה לכאורה דרך האתר הרשמי שלו – לא דרך הקישור בהודעה. עדיף לבדוק פעם אחת נוספת מאשר להפסיד גישה לחשבון.
מה לעשות אם קיבלתם הודעת פישינג?
- אל תלחצו על קישורים בהודעה
- אל תורידו קבצים מצורפים
- דווחו לגוף שבשמו הגיעה ההודעה
- דווחו ל-CERT הישראלי: cert.gov.il
- אם כבר מסרתם פרטים – שנו סיסמאות מיד
פעולה מהירה לאחר חשיפה להונאה יכולה למנוע נזק משמעותי. ככל שתדווחו מהר יותר ותשנו סיסמאות בזריזות, כך תוכלו למזער את הנזק.
מתקפות על חשבונות רשת חברתית
מתקפות פישינג המכוונות לחשבונות פייסבוק, אינסטגרם, טיקטוק וטוויטר (X) הפכו לנפוצות במיוחד בשנים האחרונות. התוקפים שולחים הודעות שמדמות התראות רשמיות מהפלטפורמה, ומבקשים מכם להתחבר שוב לחשבון. ברגע שאתם מוסרים את הסיסמה, האקר גונב את החשבון תוך שניות. לעיתים קרובות, ההתחזות מהווה את השלב הראשון לפני פריצה מלאה. חשוב לדעת שמומחי שחזור יכולים לעזור לכם לקבל בחזרה גישה לחשבון, אפילו אם האקר כבר פרץ אליו ושינה את הסיסמה.
הקשר רחב יותר: איך פישינג נראה בישראל
הגופים שמתחזים אליהם הכי הרבה בארץ הם אלה שכולם מחכים להודעה מהם: חברות משלוחים עם "חבילה ממתינה", דואר ישראל עם "דמי מכס" קטנים לתשלום, חברות אשראי עם "חיוב חריג", והבנקים עם "חסימת חשבון". הסכומים קטנים בכוונה — שקלים בודדים — כדי שלא תעצרו לחשוב.
מה שהשתנה בשנים האחרונות הוא איכות העברית. פעם היה אפשר לזהות פישינג לפי תרגום מכונה שבור; היום הנוסח תקין לחלוטין. לכן שגיאות כתיב כבר אינן סימן אמין. מה שכן נשאר אמין: הכתובת שאליה הקישור מוביל, והעובדה שגוף לגיטימי לעולם לא יבקש סיסמה או קוד אימות בהודעה.
מה כדאי לעשות עכשיו
-
לפני לחיצה — החזיקו אצבע על הקישור (או רחפו מעליו במחשב) כדי לראות לאן הוא באמת מוביל.
-
לעולם אל תמסרו קוד אימות — גם לא למי שמציג עצמו כנציג הבנק.
-
אם כבר מסרתם פרטים: החליפו מיד סיסמה, הפעילו אימות דו-שלבי ונתקו סשנים פעילים.
-
מסרתם פרטי אשראי? התקשרו לחברת האשראי לחסימת הכרטיס באותה דקה.
-
דווחו למערך הסייבר הלאומי במספר 119 — השיחה חינמית.
-
העבירו הלאה במשפחה — רוב הנפגעים הם אנשים שראו את ההודעה לראשונה.
תרחישים נפוצים ומה עושים בכל אחד
רוב הודעות הפישינג בישראל חוזרות על כמה תבניות קבועות. הטבלה מרכזת את המקרים הנפוצים, ואת הדרך הבטוחה לבדוק כל אחד מהם בלי ללחוץ על הקישור.
| ההודעה שקיבלתם | מה כנראה עומד מאחוריה | מה עושים |
|---|---|---|
| "חבילה ממתינה, יש להסדיר דמי משלוח" | אתר מזויף שאוסף פרטי אשראי | בודקים את מספר המשלוח באתר או באפליקציה הרשמית של חברת השילוח |
| "העמוד שלכם יוסר בשל הפרת זכויות יוצרים" | ניסיון לגנוב את פרטי ההתחברות של מנהלי העמוד | נכנסים לאפליקציה עצמה ובודקים את מצב החשבון בהגדרות, שם מופיעות ההתראות האמיתיות |
| שיחה מ"הבנק" שמבקשת קוד שהגיע אליכם | ניסיון להיכנס לחשבון הבנק בשמכם | מנתקים ומתקשרים בעצמכם למספר שמופיע על גב הכרטיס או באתר הבנק |
| חבר בוואטסאפ מבקש "קוד שנשלח אליך בטעות" | ניסיון להשתלט על חשבון הוואטסאפ שלכם | לא שולחים דבר, ומתקשרים לחבר בשיחה רגילה כדי לוודא שזה באמת הוא |
| "חיוב חריג בכרטיס, לחצו לביטול העסקה" | דף מזויף שאוסף את פרטי הכרטיס ואת קוד האימות | בודקים את פירוט העסקאות באפליקציה הרשמית של חברת האשראי |
| מייל עם "חשבונית" בקובץ מצורף מספק לא מוכר | קובץ שעלול להתקין תוכנה זדונית | לא פותחים, ובודקים מול הספק דרך פרטי קשר שאתם כבר מכירים |
הכלל המשותף לכל השורות: הבדיקה נעשית תמיד בערוץ שאתם יזמתם, ולא בערוץ שהגיע אליכם.
טעויות נפוצות שגורמות ליפול בפח
גם אנשים זהירים נופלים בפישינג, בדרך כלל לא מחוסר ידע אלא ברגע של עייפות או לחץ. אלה הטעויות שחוזרות שוב ושוב:
- לסמוך על סמל המנעול בדפדפן: המנעול רק אומר שהחיבור מוצפן, לא שהאתר אמיתי. גם אתרי פישינג משתמשים בו.
- לבדוק רק את שם השולח: השם שמוצג במייל או במסרון ניתן לזיוף בקלות. מה שקובע הוא הכתובת המלאה ולאן הקישור מוביל בפועל.
- לחשוב שזה קורה רק במייל: בישראל רוב הניסיונות מגיעים במסרון, בוואטסאפ ובשיחות טלפון.
- להשתמש באותה סיסמה בכמה שירותים: סיסמה אחת שנמסרה באתר מזויף פותחת לתוקף גם את המייל, את הרשתות החברתיות ואת חשבונות הקניות.
- להמשיך שיחה עם "נציג" שהתקשר אליכם: גם אם הוא יודע את שמכם ואת הספרות האחרונות של הכרטיס. פרטים כאלה זמינים לתוקפים מדליפות מידע קודמות.
- להתבייש ולא לספר: מי שמסר פרטים ומחכה לראות מה יקרה מאבד את הזמן היקר ביותר לחסימת הכרטיס ולהחלפת הסיסמאות.
- לאשר בקשת כניסה באפליקציה בלי לחשוב: בקשת אישור שלא אתם יזמתם פירושה שמישהו כבר מחזיק בסיסמה שלכם. דוחים אותה ומחליפים סיסמה מיד.
אם החשבון כבר נלקח מכם בעקבות הודעה כזו, SecureBack יכולה לבצע בדיקה ראשונית ללא עלות ולכוון אתכם למסלול השחזור הרשמי המתאים.
שאלות נפוצות
לחצתי על קישור אבל לא מילאתי כלום — נפגעתי?
ברוב המקרים לא. לחיצה לבדה בדרך כלל רק פותחת דף. הסיכון מתחיל כשממלאים פרטים או מאשרים הורדה. עם זאת, כדאי להריץ סריקה ולעקוב אחר החשבונות בימים שלאחר מכן.
איך מדווחים על הודעת פישינג?
אפשר לדווח למערך הסייבר הלאומי במספר 119, ובמקביל לדווח לגוף שאליו התחזו — לבנק, לחברת האשראי או לפלטפורמה. דיווח עוזר להוריד את האתר המזויף מהר יותר.
האם אנטי-וירוס מגן מפישינג?
חלקית. הוא עשוי לחסום אתרים מזויפים מוכרים, אבל פישינג מנצל את האדם ולא את המכונה. אתר פישינג חדש שעלה היום לא ייחסם בדרך כלל.
מה ההבדל בין פישינג ל-Smishing?
אותה שיטה בערוץ אחר. פישינג במייל, Smishing במסרון ו-Vishing בשיחת טלפון. בישראל המסרון הוא הערוץ הנפוץ ביותר, כי אנשים נוטים לבטוח בהודעה שמגיעה לטלפון.
קיבלתי הודעה ממטא שהעמוד שלי יימחק — איך יודעים אם היא אמיתית?
היכנסו לפייסבוק או לאינסטגרם ישירות מהאפליקציה, בלי הקישור שבהודעה, ובדקו שם את מצב החשבון ואת ההתראות. הודעות אמיתיות על הפרת מדיניות מופיעות בתוך החשבון עצמו. הודעה שמגיעה במסנג׳ר מעמוד אקראי, או מבקשת להזין סיסמה בטופס חיצוני כדי "לערער", היא כמעט תמיד ניסיון פישינג שמכוון לבעלי עמודים.
מסרתי קוד אימות שקיבלתי ב-SMS — מה עושים עכשיו?
פעלו מיד, כי קוד כזה מנוצל בדרך כלל תוך דקות. נסו להיכנס לחשבון, החליפו סיסמה, נתקו את כל המכשירים המחוברים ובדקו שהמייל והטלפון לשחזור לא שונו. אם מדובר בוואטסאפ, אמתו מחדש את המספר במכשיר שלכם והפעילו אימות דו-שלבי עם קוד PIN. אם הקוד היה של הבנק או של חברת האשראי, התקשרו אליהם מיד כדי לחסום את הפעולה.
נפרץ לכם חשבון?
SecureBack מתמחה בשחזור חשבונות שהאקרים השתלטו עליהם. פנו אלינו מיד.